データ保護指令(Data Protection Directive: 95/46/EC)と欧州一般データ保護規則(General Data Protection Regulation)

欧州の歴史を振り返ると一つのキーワードが浮かび上がってくる。
“Harmonization”(調和)である。

私が初めて海外法規や規格に関わるようになった時、”Harmonization”という言葉がしばらくピンとこなかった。
ほぼ同質化した文化を前提とし、半ば同質化することを当然視している日本人にとって、”Harmonize”(調和する)という行為自体が非日常的なものかもしれない。

しかし、欧州は事情が違う。力が相克し、大きな痛みを経てきた欧州では、その反省を踏まえて「欧州の統合」という試みを行ってきた。
近年のギリシャ債権問題やBREXIT問題で「失敗」を揶揄されているが、平和と安定への切実な願いから、欧州は「共同体」として協調する術を模索し続けてきた。

データ保護指令(Data Protection Directive: 95/46/EC)は、欧州で現在施行されているdata protection(データ保護)に係る指令だ。
「指令」とは「法律」ではなく、「法律」を作るうえでの「青写真」である。

産業界で使用されている「低電圧指令」や「機械指令」といったものも、同じ位置づけで、「法律」ではなくその「土台」を規定する。
実際の法令は、各国が制定する。「調和」するためには、大きな概念を定め、「中身」は加盟国が決めて良いというバランス感覚がその背後にある。

データ保護指令(Data Protection Directive: 95/46/EC)に置き換わる欧州一般データ保護規則(General Data Protection Regulation: 以下GDPR)は、他方「規則」=「義務」である。
各国が「法律」を定めずとも、「義務」として欧州連合加盟国は遵守しなければならない。車関係の型式認証で知られている「Regulation(規則)」も同じ位置づけである。

「Directive (指令)」と「Regulation (規則)」を使い分ける理由はただ一つだ。
欧州連合加盟国で「単一のルール」を設定したいときには「Regulation (規則)」を作成し、ある程度ばらつきを許容する時には「Directive (指令)」で対応する、というイメージでほぼ間違いはないだろう。
「協調」を模索する社会では、加盟国の自由を尊重するために「Directive (指令)」が好まれる。「Regulation (規則)」が用いられるのは、もしくは「国と国との間の相違」が共同体の経済運営上効率性を阻害する場合となる。

data protection(データ保護)は、当初「Directive (指令)」で運用された。しかし、加盟国間の相違点が、特にデータの越境移動時に問題となることが多くなり、経済運営上効率性を阻害するようになった。
GDPRが制定された背景はそこにある。

ちなみに、GDPRは自由度も残している。GDPRの条項のうち約50の条項については加盟国ごとに明確化、除外規定を設定してもよいこととなっている。
GDPRの解釈についての助言を行うのがWP 29 (The Aerticle 29 Working Party)である。WP29はデータ保護指令(Data Protection Directive: 95/46/EC)に対して設置された専門部会で、”Opinion”を公表しその正式な解釈を示してきた。
“Opinion”には法的拘束力はないが、欧州の監督機関はWP29の助言に基づいて判断を行うため、実質的に拘束力を持っている。

なお、GDPRが施行されるまでは、GDPRについての”Opinion”も公表する。GDPR施行後はWP29は廃止され、European Data Protection Board (EDPB)がその地位継承する。

テクニカ・ゼン株式会社では会員制データ・プライバシー情報サイトを開始しました。こちらの有用情報で記事を更新していますので、ぜひ、ご訪問・ご登録ください。

データ保護法:欧州の立法府、行政府、裁判所(3)

前回は欧州評議会(Council of the EU)、欧州委員会(European Commission)を解説した
今回は、欧州司法裁判所について説明する。

欧州司法裁判所(Court of Justice of the EU)
EUの裁判所に該当する欧州司法裁判所はルクセンブルク市に設置されている。欧州委員会が加盟国に対してとった行動またはEU法の下個人または組織がその権利を実現するための行動について、EU法関連の問題に対する決定や決定への強制力の実効性を持たせる機能を持つ。裁判所は欧州裁判所(European Court of Justice: ECJ)と高等裁判所(General Court)から構成されており、各国の裁判所がEU法を確認するために、各国の裁判所に対してEU法を開設する役割を持っている。

以上で欧州の立法府、行政府、裁判所に関する紹介は終了した。

次回からは、現在施行されているData Protection Directive(データ保護指令)とGDPR(欧州一般データ保護規則) の比較を行う。

U.K. data protection(データ保護)法案によりオンラインでの「忘れられる権利」が強化

2017年8月7日
イギリスで導入されるデータ保護法案によって、企業がpersonal data(パーソナル・データ)をどのように使用するかを個人が容易に管理可能となった。

この法案では、privacy(プライバシー)法に違反した企業に課せられる制裁金も増加した。
制裁金の最大額は(従来の50万ポンドから大幅増額した)1700万ポンド、または企業の世界全体の売り上げの4%に相当する金額である。

個人は子供のころにソーシャルメディアにした投稿を削除要請可能となる。
また、法案は個人情報をオンラインで収集することに対し、明確な同意を与えるよう定めている。同意は「オプト・イン」方式のみが認められることとなる。

この法案の特長は

  • 企業の保持するpersonal data(パーソナル・データ)の削除を要求できるようになる
  • 親が子供のdeta使用に対して同意を与えられるようになる
  • personal data(パーソナル・データ)にインターネットのクッキーやIPアドレスを含むようになる
  • 組織に対してどのようなpersonal data(パーソナル・データ)を保持しているか、容易に開示要求できるようになる
  • 匿名データから個人を特定する犯罪を防止する
  • この法案は夏季休暇後の9月に採択される見込み。

    データ保護法:欧州の立法府、行政府、裁判所(2)

    前回は欧州議会(European Parliament)と欧州理事会(European Council)を解説した
    今回は、欧州評議会、欧州委員会について説明する。

    欧州評議会(Council of the EU)
    欧州議会(European Parliament)とともに、主に立法上の意思決定に関与する。各国の大臣が議論する政策に応じて出席するのが特徴である。
    欧州における立法過程は、法案を欧州委員会(European Commission)が提出し、欧州議会(European Parliament)と欧州評議会(Council of the EU)が検討するという構造になっている。

    欧州委員会(European Commission)
    EUの決定事項や政策を実施するのが欧州委員会(European Commission)である。法案の提出を含む、幅広い機能を持っている。data protection(データ保護)についての議論は欧州委員会(European Commission)で最も活発に行われてきた。
    欧州委員会(European Commission)は、EUの協定を尊重すると宣誓した、一加盟国につき一人の委員で構成される。

    次回は欧州司法裁判所について説明する。

    データ保護法:欧州の立法府、行政府、裁判所(1)

    前回に引き続き、欧州の機関について説明を続ける。まずは欧州議会と欧州理事会について説明する。

    欧州議会(European Parliament)
    直接選挙で選出される欧州連合(European Union)の議会組織。欧州の機関として直接選挙が行われるのは欧州議会だけである。

    主となる機能としては、立法(legislative development)、監督(supervisory oversight of other institutions)、および予算(development of budget)を担っている。

    欧州連合(European Union)のデータ保護(data protection)およびprivacy(プライバシー)に関する立法過程において、欧州議会(European Parliament)は最も大きな影響力を持っている。欧州議会(European Parliament)はデータ保護(data protection)を強く支持しており、privacy(プライバシー)に対しては、ほかの機関と比べて保守的な傾向がみられる。

    欧州理事会(European Council)
    欧州連合(European Union)の政治方針や優先事項を定める機関。
    欧州連合加盟国の国家元首または政府の長と欧州理事会議長、欧州委員会委員長、欧州連合外務・安全保障政策上級代表から成る。

    次回は欧州評議会、欧州委員会について説明する。

    インド最高裁判所(Supreme Court of India)がprivacy(プライバシー)を基本的人権に加えるかヒアリングを終了

    2017年8月2日
    インド最高裁判所は8月2日、privacy(プライバシー)を基本的人権に加えるかのヒアリングを終了した。
    結論は8月最終週に出る見込み。

    政府評議会は、privacy(プライバシー)を基本的人権と認めることに反対している。
    議論はprivacy(プライバシー)の必要性と社会的・経済的正義の間のバランスについて展開している。
    それによると、privacy(プライバシー)は一部のエリートの考えでしかなく、間違った行いをしている者たちだけが要求するものだという。

    データ保護法:欧州評議会(Council of Europe)と欧州連合(European Union)

    欧州評議会(Council of Europe)と欧州連合(European Union)は異なる機関である。

    欧州評議会(Council of Europe)は国際組織で47の国が加盟している。

    欧州連合(European Union)は経済的・政治的共同体であり、28の国が加盟している。ちなみに、欧州連合(European Union)に加盟している国はすべて、欧州評議会(Council of Europe)に加盟している。しかし、欧州連合(European Union)に加盟するためには欧州評議会(Council of Europe)に加盟していなければならないというわけではない。

    データ保護(data保護)と関連するもう一つの枠組みとして欧州経済領域(European Economic Area:以下EEA)がある。これは、1994年に欧州自由貿易連合(European Free Trade Association:以下EFTA)と欧州連合(European Union)との間で発効した協定に基づいて設置された。

    EEAに参加することで、EFTA加盟国が欧州連合(European Union)に加盟することなく、欧州連合(European Union)の単一市場に参加することができるようになった。

    現在は28の欧州連合(European Union)加盟国と3つのEFTA加盟国(アイスランド、リヒテンシュタイン、ノルウェー)が参加している。

    データ保護法:欧州のdata protection(データ保護)の歴史(2)

    前回に続いて、1990年代、2000年代、2010年代と10年ごとの区切りでマイルストーンとなる出来事を紹介する。

    1990年代
    条約108号(Convention 108)は批准国の数が少なく、批准したとしても断片的にしか批准されなかったため、効力に限界があった。
    この問題に対応するため、1990年、欧州員会(European Commission)は「指令」の作成を提案した。

    こうして、いわゆる欧州データ保護指令(EU Data Protection Directive (95/46/EC))が作成されることとなった。
    欧州データ保護指令(EU Data Protection Directive (95/46/EC))は条約108号(Convention 108)に含まれる原則をベンチマークとして使用している。

    この指令の導入により一般的なデータ保護(data protection)に係る原則と義務が定められ、EU加盟国に対して各国法制への指令の反映が定められた。

    2000年代
    2000年 欧州連合基本権憲章(Charter of Fundamental Rights of the EU)が公布される。欧州連合基本憲章は、personal data(パーソナル・データ)の保護に係る基本的な権利をはじめとし、包括的に個人の権利を集めたものである。
    2002年 プライバシー及び電子通信に関する規則(EU Directive on Privacy and Electronic Communications)(e-Privacy Directive)採択。2009年に改訂。公共電子通信サービスおよびネットワークを通じてpersonal data (パーソナル・データ)を取り扱う場合に適用される。
    2006年 EUデータ保護指令(Data Protection Directive(2006/24/EC))が採択。2014年に無効と判断される。(欧州司法裁判所(Court of Justice of the EU)の判断による)
    2009年 リスボン条約(Treaty of Lisbon)が発行 リスボン条約の発効により欧州連合基本権憲章(Charter of Fundamental Rights of the EU)に法的拘束力が生じた。

    2010年代
    2016年 一般データ保護規則(General Data Protection Regulation)が法制化。欧州データ保護指令(EU Data Protection Directive (95/46/EC))に置き換わり2018年5月25日に施行されることが決定。

    欧州におけるprivacy(プライバシー)とdata protection(データ保護)に係る法律をを司るのは欧州人権裁判所(European Court of Human Right(ECHR))である。
    その根拠は人権と基本的自由の保護のための条約(European Convention on Human Rights)と条約108号(Convention 108)にある。
    欧州人権裁判所(European Court of Human Right(ECHR))はEUに属さない独立した機関である。

    欧州人権裁判所(European Court of Human Right(ECHR))はpersonal data(パーソナル・データ)の保護について、データへのアクセス権の観点からも検討を行っている。

    さて、ここまで読んでいただいて、様々な機関が入れ代わり立ち代わりあらわれ、混乱し始めたことと思う。
    次回からは、欧州の成り立ちについてまず整理を行っておくことにする。以前の投稿でプレーヤーを理解することが大切と書いたが、情報を正確にフォローするためにも、どの機関がどういう機能を持っており、どのように関わり合っているのかを整理しておくことは有用だろう。

    データ保護法:欧州のdata protection(データ保護)の歴史(1)

    前回、Privacy(プライバシー)やdata protection(データ保護)の権利の起源として「世界人権宣言」(1948年)があることを紹介し、
    それをもとに欧州で「人権と基本的自由の保護のための条約」(1953年)が作成されたことを述べた。

    今回は、その後欧州でどのようにdata protection(データ保護)が発展していったかについて述べる。
    data protection(データ保護)の考え方は、ほかの多くの事柄がそうであったように、世の中の変化に伴う懸念の発生と、それへの対応の歴史である。

    1960年代、1970年代、と10年ごとの区切りでマイルストーンとなる出来事を紹介する。

    1960年代
    1960年代は、戦後の経済成長期であった。コンピュータや遠距離通信(telecommunication:テレコミュニケーション)が発達し、国際貿易が活発化した。

    1970年代
    国際貿易が活発化し、情報のやり取りが国を超えて行われるようになると、各国のprivacy(プライバシー)権と国際貿易にともなう情報流通との間で摩擦が生じるようになってきた。
    1970年代から1980年代にかけては、こういった問題が顕在化した時代である。膨大なpersonal data(パーソナル・データ)のデータ・バンクが作られ、国境を超えたデータの取り扱いが広まった。
    コミュニケーション技術の発達が、従来想定していなかったpersonal data(パーソナル・データ)の拡散という状況を生み出したのだ。

    1980年代
    この流れを受けて、1980年代には、data protection(データ保護)を先導する重要な枠組みが二つ作られた。

  • プライバシー保護と個人データの国際流通についてのガイドライン(OECDガイドライン)(OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data)
  • 条約108号(Convention 108)
  • OECDガイドラインは経済協力開発機構(Organisation for Economic Co-operation and Development)によって制定された、グローバル化する経済における、personal data(パーソナル・データ)のデータの流通(data flow)を円滑にするためのガイドラインである。2013年の改定では、基本的なdata protection(データ保護)についての原則が追加された。

    条約108号(Convention 108)は、正確には欧州評議会条約(Council of European Convention)という。欧州評議会加盟国に対してdata protection(データ保護)を行う手段を供した、最初の条約である。
    1981年に各国の署名に付された。ガイドラインとは異なり、加盟国が署名し、自国の法制に条約108号の適用することを求めている。

    次回は1990年以降の流れについて説明する。